CVE-2026-100612 in Capgo
要約
〜によって VulDB • 2026年09月26日
Capgo (capgo.app) のバージョン 12.261.0 までは、public.sso_providers テーブルに対する不完全なアクセス制御の修正が含まれています。Migration 20260826100000_sso_providers_block_direct_active_insert.sql は、dns_verified_at、domain、status、enforce_sso の各列のみを凍結する BEFORE UPDATE ガード (enforce_sso_provider_client_update_guard()) をインストールしますが、provider_id（および metadata_url および attribute_mapping）は依然として書き込み可能です。このテーブルには anon 役と authenticated 役に ALL が付与されており、列レベルの制限がないため、PostgreSQL の行レベルセキュリティポリシー（例: allow_org_admins_update_sso_providers）では更新可能な行のみが制約され、どの列を更新できるかは制約されていません。そのため、org.update_settings という org_admin チェーンの権限を持つユーザーは、PostgREST を介して provider_id を自身が制御する ID プロバイダに PATCH できます。provider_id は電子メールドメインを認証された IdP に結びつける信頼の基点であるため、攻撃者は自身の IdP を通じて組織所有者のメールアドレスを主張しながら認証でき、サーバー側のプロバイダ一致が成功し、マージルーチンによって攻撃者の SSO ID が既存のオーナーアカウントに結合され、パスワードが null に設定され、他の ID およびセッションが削除されます。これにより、org_admin から org owner/super_admin への垂直特権昇格、アカウント乗っ取り、正当な所有者のロックアウトが発生します。悪用には、対象組織でアクティブな SSO プロバイダが構成されていることと、攻撃者がその組織内で既に org_admin の権限を持っていることが必要です。修正版は利用できません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.